wykrywanie phishingu

Wykrywanie phishingu to automatyczna analiza wiadomości pod kątem cech charakterystycznych dla wyłudzeń.

Jak system rozpoznaje wiadomość phishingową

Wykrywanie phishingu polega na analizie wiadomości e-mail, komunikatów w komunikatorach, stron internetowych oraz załączników pod kątem cech typowych dla prób wyłudzenia. System może sprawdzać adres nadawcy, domenę używaną w polu „From”, zgodność z mechanizmem SPF, wynik podpisu DKIM oraz obecność polityki DMARC. Analizowany jest także adres znajdujący się w odsyłaczu. Widoczny tekst może sugerować stronę banku, operatora płatności lub poczty elektronicznej, podczas gdy rzeczywisty adres prowadzi do innej domeny, skróconego odsyłacza albo domeny z literówką. Znaczenie mają również przekierowania, nietypowe subdomeny, użycie adresu IP zamiast nazwy domenowej i certyfikat TLS wystawiony dla innej domeny niż oczekiwana.

Automatyczna analiza obejmuje treść wiadomości i jej strukturę. Reguły detekcyjne mogą wykrywać żądania podania hasła, numeru karty, kodu jednorazowego, danych logowania lub pilnego wykonania przelewu. Podejrzane bywają również komunikaty o blokadzie konta, zaległej płatności, nieudanej dostawie albo konieczności potwierdzenia tożsamości. Silnik antyphishingowy może porównywać wiadomość z reputacją nadawcy, historią domeny, znanymi wzorcami kampanii oraz informacjami o złośliwych adresach publikowanymi w bazach zagrożeń. Wynik nie powinien zależeć wyłącznie od jednego słowa, ponieważ prawidłowe wiadomości także mogą zawierać wyrażenia takie jak „logowanie”, „płatność” czy „weryfikacja”.

Odsyłacze, domeny i fałszywe formularze logowania

Jednym z ważnych elementów wykrywania phishingu jest analiza odsyłaczy osadzonych w wiadomości. Program może sprawdzić, czy domena jest zgodna z nazwą deklarowanej usługi, czy adres zawiera nietypowe znaki oraz czy domena nie wykorzystuje podobieństwa wizualnego do prawidłowej nazwy. Przykładem jest użycie dodatkowego łącznika, innej domeny najwyższego poziomu albo znaku z alfabetu Unicode przypominającego literę łacińską. Sam prefiks „https://” nie potwierdza autentyczności strony. Szyfrowanie połączenia chroni transmisję między przeglądarką a serwerem, ale nie gwarantuje, że serwer należy do banku, sklepu lub innej wskazanej instytucji.

Detekcja może obejmować również kod HTML strony i sposób działania formularza. Podejrzenie wzbudza formularz logowania wysyłający dane do domeny niezwiązanej z marką, skrypt przekierowujący użytkownika przez wiele adresów lub strona utworzona krótko przed rozpoczęciem kampanii. Znaczenie ma także podobieństwo wizualne strony do znanego serwisu, choć sama kopia kolorów i układu nie jest dowodem oszustwa. Przeglądarka, filtr pocztowy lub program ochronny może porównać adres z listą reputacyjną i zablokować otwarcie strony, wyświetlić ostrzeżenie albo oznaczyć wiadomość jako podejrzaną. Listy reputacyjne mogą jednak nie zawierać nowo utworzonych domen, dlatego brak ostrzeżenia nie jest równoznaczny z potwierdzeniem bezpieczeństwa.

Analiza załączników i sygnałów społecznej presji

Phishing może być dostarczany nie tylko jako odsyłacz, lecz także jako załącznik. Analizator sprawdza typ pliku, rozszerzenie, deklarowany format oraz zachowanie dokumentu po otwarciu. Ryzyko zwiększa dokument zawierający makra, osadzony skrypt, odsyłacz do zewnętrznej strony lub prośbę o włączenie wyłączonych funkcji. Niebezpieczny może być również plik, którego nazwa sugeruje fakturę, potwierdzenie płatności albo dokument kadrowy, ale którego rzeczywisty typ różni się od deklarowanego. Samo rozszerzenie widoczne w Eksploratorze Windows nie zawsze wystarcza do oceny, ponieważ znane rozszerzenia mogą być ukrywane, a nazwa pliku może zawierać dodatkowe znaki.

Systemy wykrywania korzystają także z analizy językowej i kontekstowej. Wiadomość może zawierać nietypowy ton, presję czasu, groźbę konsekwencji, prośbę o zachowanie sprawy w tajemnicy albo instrukcję obejścia zwykłej procedury. Sygnały te są pomocne, lecz nie stanowią samodzielnego dowodu, ponieważ prawdziwe komunikaty usług również informują o terminach i konieczności działania. Ocena powinna uwzględniać relację użytkownika z nadawcą, oczekiwany sposób kontaktu oraz to, czy komunikat można niezależnie potwierdzić przez ręczne wpisanie adresu oficjalnej strony. Szczególnej ostrożności wymagają wiadomości proszące o podanie kodu uwierzytelniania wieloskładnikowego, ponieważ taki kod może zostać wykorzystany do zatwierdzenia logowania rozpoczętego przez oszusta.

Sprawdzenie komputera po podejrzanym kontakcie

Po kliknięciu podejrzanego odsyłacza należy zamknąć stronę, nie wpisywać kolejnych danych i wykonać skanowanie przy użyciu aktualnego programu ochronnego. Jeżeli hasło zostało podane na fałszywej stronie, trzeba zmienić je na prawdziwej witrynie usługi, a takie samo hasło zmienić również w innych miejscach. W przypadku podania danych płatniczych konieczny jest kontakt z bankiem lub operatorem karty przez oficjalny kanał. Gdy uruchomiono załącznik, warto sprawdzić procesy, autostart systemu, rozszerzenia przeglądarki oraz historię połączeń, ale nie należy usuwać pochopnie plików mogących być potrzebnych do analizy. Istotne są także daty, adres nadawcy, pełny adres odwiedzonej strony i nazwa załącznika.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w ramach diagnostyki może sprawdzić objawy związane z podejrzanym oprogramowaniem, niepożądanymi przekierowaniami, zmianami w przeglądarce oraz nietypowym zachowaniem systemu po otwarciu wiadomości. Ocena techniczna obejmuje rozróżnienie między samą próbą phishingu a faktycznym uruchomieniem złośliwego kodu. W wielu przypadkach wiadomość jest oszustwem socjotechnicznym, lecz komputer pozostaje niezmieniony, jeśli użytkownik nie otworzył załącznika, nie uruchomił programu i nie podał danych. Jeżeli występują samoczynne okna, zmieniona wyszukiwarka, blokada plików, nieznane aplikacje lub nietypowe obciążenie procesora, potrzebna jest pełna kontrola systemu i zapisanie istotnych informacji przed czyszczeniem urządzenia.